Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Audit en continu : Coordonner l’audit et le contrôle en continu pour fournir un

Audit en continu : Coordonner l’audit et le contrôle en continu pour fournir une assurance continue 2ème édition Mars 2015 - ISBN : 978-2-915042-71-9 Copyright © 2013 par l’Institute of Internal Auditors, 247 Maitland Ave., Altamonte Springs, Floride, 32701-4201, États-Unis. Tous droits réservés. Imprimé aux États-Unis. Aucune partie de cette publication ne peut être reproduite, stockée dans un système de consultation ou transmise sous quelque forme que ce soit, ni par aucun moyen (électro- nique, mécanique, reprographie, enregistrement ou autre) sans autorisation écrite préalable de l’éditeur. L’IIA publie ce document à titre informatif et pédagogique. Cette publication entend donner des informations, mais ne se substitue en aucun cas à un conseil juridique ou comptable. L’IIA ne fournit pas ce type de service et ne garantit, par la publication de ce document, aucun résultat juridique ou comptable. En cas de problèmes juridiques ou comp- tables, il convient de recourir à l’assistance de professionnels. GTAG – Table des matières 3 RÉSUMÉ .......................................................................................................................................................... 4 INTRODUCTION ........................................................................................................................................... 6 CADRE DE RÉFÉRENCE DE L'ASSURANCE CONTINUE ....................................................................... 9 CADRE OPTIMISÉ DE L'ASSURANCE CONTINUE ............................................................................... 13 APPLICATIONS PRATIQUES DE L'AUDIT EN CONTINU .................................................................... 15 MISE EN ŒUVRE DE L'AUDIT EN CONTINU ........................................................................................ 18 ANNEXE – ÉTUDES DE CAS ...................................................................................................................... 25 AUTEURS, RELECTEURS ET CONTRIBUTEURS ..................................................................................... 34 GTAG – Résumé 4 Résumé L ’environnement réglementaire en constante évo- lution, la mondialisation, l’amélioration des opé- rations dictée par la pression des marchés et l’évolution rapide des conditions d’exploitation suscitent des besoins d'audit en continu, tant pour les données financières qu'opérationnelles. Grâce à de tels programmes, l'audit interne est en mesure d'apporter aux organes de gouvernance une assurance continue sur l'efficacité des contrôles et de la gestion des risques. L'audit en continu se fonde sur des évaluations continues des risques et des contrôles. Celles-ci s’appuient sur les SI et sur un nouveau paradigme qui ne cantonne pas l’audit uniquement à des éva- luations périodiques des risques et des contrôles, à partir d’un échantillon de transactions, mais prend également en compte des évaluations per- manentes qui couvrent un plus grand nombre de transactions. L'audit en continu repose sur l'ana- lyse de sources d'informations susceptibles de mettre en lumière des valeurs hors normes (outliers) dans les systèmes. Ces sources incluent la surveillance des niveaux de sécurité, des accès ou des incidents, des données non structurées, des évolutions des configurations SI, des contrôles applicatifs et des contrôles relatifs à la séparation des tâches. Grâce à l'audit en continu, les services d'audit interne peuvent améliorer leur efficience de manière significative et enrichir leurs points de vue. Les étapes clés de la mise en œuvre de l'audit en continu sont les suivantes : 1. Établir une stratégie d'audit en continu. 2. Recueillir des données pour une utilisation régulière. 3. Élaborer des indicateurs d'audit en continu (évaluations continues des risques et des contrôles). 4. Communiquer et gérer les résultats. Néanmoins, pour tirer pleinement profit d’un pro- gramme d'audit en continu, il est nécessaire de le coordonner avec les programmes de contrôle en continu exécutés par les fonctions opérationnelles et de contrôle. Dans l'idéal, les organisations appliquent un cadre de contrôle et de gestion des risques sous-tendu par trois lignes de maîtrise1. La première ligne de maîtrise regroupe les managers opérationnels qui endossent et gèrent les risques. La deuxième ligne de maîtrise comprend notamment des fonctions de gestion des risques et de conformité qui exer- cent une surveillance des risques. La troisième ligne de maîtrise correspond quant à elle à l'audit interne, qui fournit une assurance objective sur l'efficacité de la gouvernance, de la gestion des risques et du contrôle interne. Le contrôle en continu correspond aux travaux réalisés en perma- nence par les 1re et 2e lignes de maîtrise pour veiller à ce que les politiques, procédures et processus fonctionnent efficacement. Cela suppose d’iden- tifier les objectifs des contrôles et les assertions applicables et d’instaurer des tests automatisés pour mettre en évidence les activités et les trans- actions non conformes aux normes fixées. L'audit interne peut apporter une assurance continue à l'organisation en réalisant des tests récurrents sur le contrôle en continu, en parallèle de ses activités d'audit en continu. L'audit en continu peut s'appliquer lors de l'éla- boration du plan d'audit, en appui à une mission d'audit donnée ou dans le cadre du suivi de constats d’audit. Les responsables de l'audit interne devraient être conscients que l’audit en continu va transformer la nature des preuves, la gestion du temps, les procédures et le niveau d’im- plication des auditeurs internes. En coordonnant l'audit en continu, le contrôle en continu et les tests s'y appliquant, l'audit interne et le manage- ment peuvent maximiser leurs retours sur inves- tissements, atteindre leurs objectifs de conformité et améliorer la performance et la compétitivité de l'organisation. 1 Prise de position de l'IIA, Les trois lignes de maîtrise pour une gestion des risques et un contrôle efficaces. GTAG – Résumé 5 Une telle coordination se traduit par une notifica- tion en temps utile des écarts et carences observés dans les dispositifs de contrôle et de gestion des risques. Elle instaure en outre un environnement propice à une mise en œuvre, en temps opportun, des procédures de suivi et de traitement. Coordon- ner l'audit en continu et le contrôle en continu peut permettre à l'organisation d'améliorer sa compréhension globale des données, des risques et des contrôles. L'audit interne sera ainsi pleine- ment en mesure d'apporter une assurance conti- nue efficace à la direction générale et au Conseil. GTAG – Introduction 6 Introduction Traditionnellement, l'audit interne évalue l'effica- cité du contrôle interne et de la gestion des risques de manière rétrospective et teste les contrôles sur une base cyclique, souvent plusieurs mois après la réalisation des activités concernées. Deux facteurs conduisent néanmoins à modifier cette approche : • L'organisation doit pouvoir suivre le rythme auquel se déroulent les activités en répondant à temps à l'accélération des changements et aux risques émergents. • Les progrès technologiques ont permis la mise en place d'évaluations continues des risques et des contrôles. Dans sa première édition intitulée Audit continu : répercussions sur l’assurance, le pilotage et l’évalua- tion des risques, ce guide pratique d’audit des tech- nologies de l’information (GTAG) se focalisait sur le contrôle des données transactionnelles. Il éta- blissait en outre un parallèle entre l'audit en continu et le référentiel de contrôle interne du COSO (Committee of Sponsoring Organizations of the Treadway Commission). Cette deuxième édition présente l'audit en continu avec le prisme des trois lignes de maîtrise pour une gestion des risques et un contrôle efficaces. Elle ne se focalise plus seu- lement sur des données transactionnelles, mais également sur d'autres données provenant de la surveillance des niveaux de sécurité, des accès ou des incidents, des données non structurées, des évolutions des configurations SI, des contrôles applicatifs et des contrôles relatifs à la séparation des tâches. Pertinence de l'audit en continu Dans beaucoup d'organisations, la direction géné- rale et le Conseil commencent à se lasser de la duplication et de la redondance, réelles ou per- çues, des revues des contrôles et de la gestion des risques réalisées par les trois lignes de maîtrise. L'audit en continu peut y remédier en : • optimisant l'équilibre entre les revues effec- tuées par l'audit interne et celles réalisées par le management ; • encourageant une utilisation plus efficiente des ressources de l'organisation ; • réduisant le coût des évaluations et des pres- tations d'assurance concernant l'adéquation des dispositifs de contrôle interne ; • réalisant des évaluations continues des risques et des contrôles ; • notifiant, en temps opportun, les écarts et fai- blesses observés afin de favoriser des mesures correctives rapides ; • donnant la flexibilité nécessaire pour hiérar- chiser les mesures de traitement ; • favorisant une meilleure compréhension des performances, des risques et de la conformité ; • permettant à l'audit interne de fournir une assurance continue sur les contrôles, les risques et les opportunités. Lignes directrices de l'IIA Les lignes directrices du Cadre de référence inter- national des pratiques professionnelles de l'audit interne (CRIPP) relatives à l'audit et au contrôle en continu ainsi qu’à l'assurance continue sont les suivantes : Norme 1210 : Compétence Les auditeurs internes doivent posséder les connaissances, le savoir-faire et les autres compé- tences nécessaires à l’exercice de leurs responsa- bilités individuelles. L’équipe d’audit interne doit collectivement posséder ou acquérir les connais- sances, le savoir-faire et les autres compétences nécessaires à l'exercice de ses responsabilités. Norme 2010 : Planification Le responsable de l'audit interne doit établir un plan d’audit fondé sur les risques afin de définir des priorités cohérentes avec les objectifs de l'or- ganisation. Norme 2120 : Management des risques L'audit interne doit évaluer l’efficacité des proces- sus de management des risques et contribuer à leur amélioration. GTAG – Introduction 7 Norme 2130 : Contrôle L’audit interne doit aider l’organisation à mainte- nir un dispositif de contrôle approprié en évaluant son efficacité et son efficience et en encourageant son amélioration continue. 2130.A1 – L'audit interne doit évaluer la per- tinence et l'efficacité du dispositif de contrôle choisi pour faire face uploads/Management/ reedition-du-gtag-3-audit-en-continu-coodonner-l-x27-audit-et-le-controle-en-continu-pour-fournir-une-assurance-continue 1 .pdf